Upitnik naručitelja u metalnoj i prerađivačkoj industriji gotovo se uvijek vrti oko iste teme: kako je vaša proizvodna okolina zaštićena i što se događa ako je ta okolina zahvaćena kvarom ili napadom. To nije slučajnost. Strojevi, operacijski sustavi i mjerni uređaji sve se češće priključuju na istu mrežu kao i uredska automatizacija, a upravo ta veza između proizvodnje i IT-a je ono što naručitelj ispituje.
Sama pitanja razlikuju se ovisno o naručitelju, ali kategorije su iznenađujuće stabilne: koje ste sustave kartografirali, je li vaša proizvodna mreža odvojena od uredske, kako postupate sa zastarjelim strojevima, tko ima daljinski pristup za održavanje i što radite ako se proizvodna linija zaustavi zbog kvara. Tko prizna te kategorije neće doživjeti upitnik kao iznenađenje.
Zašto je proizvodna okolina od središnje važnosti
Poduzeće za obradu metala ili proizvođač strojeva radi s opremom koja često traje godinama ili desetljećima: CNC-strojevi, PLC-ovi, SCADA-sustavi. Ta oprema rijetko je dizajnirana s internetskom vezom na umu, ali u praksi se ipak priključuje, primjerice za daljinsko nadziranje ili slanje podataka o proizvodnji. Naručitelj koji sam pada pod obvezu zaštite prema Direktivi NIS2, mora procijeniti koje rizike sa sobom donose njegovi dobavljači. Proizvodna okolina koja je priključena na mrežu bez jasne razdvoje ostatka infrastrukture, jasno je fokus pažnje.
To objašnjava zašto upitnici u ovom sektoru češće nego drugdje detaljnije ispituju razliku između IT-a (uredske okoline) i OT-a (operacijska tehnologija, proizvodnih sustava). Opće pitanje kao što je "imate li politiku informacijske sigurnosti" u metalnoj i prerađivačkoj industriji gotovo se uvijek nadopunjava specifičnijom: "je li vaša proizvodna mreža logički ili fizički odvojena od vaše uredske mreže".
Pitanja koja se gotovo uvijek ponavljaju
U upitnicima upućenima dobavljačima u ovom sektoru nekoliko tema se iznenađujuće često pojavljuje. Najprije pregled: imate li aktualni popis svih sustava povezanih s vašom proizvodnom okolinom, uključujući strojeve koje više ne podržava proizvođač. Zatim razdvajanje mreža i pitanje postoji li odvojena zona za sustave koje se više ne mogu zakrpati.
Treći blok koji se često pojavljuje odnosi se na daljinski pristup: koji dobavljači ili serviseri mogu se daljinski prijaviti na vaše strojeve i kako je taj pristup zaštićen i dokumentiran. Četvrti blok odnosi se na kontinuitet: što se događa ako se proizvodna linija zaustavi zbog tehničkog problema ili napada i kako brzo možete nastaviti. Konačno, naručitelj često postavlja pitanja o registraciji incidenta: dokumentirate li kada nešto pođe po zlu u vašoj proizvodnoj okolini i koji su članovi vaše organizacije obaviješteni.
Tko želi provjeriti je li vlastita organizacija putem lanca susretnula s takvim pitanjima i u koju kategoriju spada, nalazi nekoliko pitanja koja u nekoliko minuta daju prvi okvir početnu točku za to objašnjenje.
Stariji strojevi ne mogu se uvijek jednostavno odgovoriti
Za mnoga poduzeća u ovoj grani, najteže pitanje nije samo pitanje само себе, već odgovor na njega. Stroj star petnaest godina često radi na softveru koji se više ne ažurira, a zamjena je skupa. Upitnik tada ne zahtijeva nužno zamjenu tog stroja, već pokazati da znate gdje leži rizik i koje mjere ste poduzeli oko njega, primjerice stavljanjem uređaja u odvojen mrežni segment bez direktne veze s internetom.
To razlikovanje — između "uklanjanja rizika" i "poznavanja rizika i upravljanja njime" — upravo je ono što naručitelj obično traži. Sama Direktiva i nacionalni zakoni koji iz nje proizlaze, kao što je Zakon o kibernetskoj sigurnosti, opisuju te vrste mjera zbog dužnosti čuvanja na općenito govoreći način; nadzorni organ pak objavljuje praktična objašnjenja. Pregled što ti pojmovi točno znače nalazi se u temama koje su razrađene prema situaciji.
Daljinski pristup kao posebna točka pažnje
Daljinsko održavanje u metalnoj i proizvodnoj industriji često je neizbježno: dobavljač stroja mora ponekad moći pratiti iz daljine tijekom kvarova. Upitnici namjerno obraćaju pažnju na ovo, jer je to jedan od najčešćih načina na koji problem kod jedne strane može proći na drugu. Jasan odgovor opisuje tko ima pristup, kako se taj pristup dodjeljuje i povlači, te vodi li se zapisnik o tome tko se kada prijavio.
Što radite s primljenim upitnikom
Upitnik od naručitelja prije svega je zahtjev za uvid, a ne ispit s fiksnim brojem bodova. Jasan odgovor, čak i ako to znači da je mjera još u razvoju, obično se bolje prima nego popis sa oznakama bez opravdanja. Za pitanja o tome što naručitelj točno smije pitati i koliko daleko to pitanje može ići, preporučuje se konzultiranje publikacija nadzornog organa ili angažiranje pravnika; secria.eu priprema odgovore i dokumente, ali nikad ne prijavljuje i ne registrira umjesto klijenta.
Više pozadine o tome kako je ova informacija sastavljena i koji se izvori koriste nalazi se na stranici koja pokazuje gdje dolaze informacije. Odgovori na česta pitanja o upitnicima i ulozi dobavljača dostupni su putem zbirke čestih pitanja.
Želite li znati dolazi li vaše poduzeće kroz lanac u doticaj s takvim upitnicima, ili tražite pojašnjenje specifičnog pojma iz upitnika koji ste već primili? Besplatna brza provjera i baza znanja daju prvi pregled u pola sata, bez potrebe za računom.